Deutschland
The Morning Dev

Nur die Nachrichten, die man kennen sollte

‹
 
B44/100

Sicherheitslücke · kritisch · CVSS 9.8

Kritische Lücke im Apache HTTP Server (mod_http2) ermöglicht Ausführung beliebiger Kommandos

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Apache-Server mit aktiviertem HTTP/2

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Volle Übernahme

Was zu tun ist

  1. Apache HTTP Server auf die gepatchte Version aktualisieren
  2. Prüfen, ob HTTP/2 auf den eigenen Servern aktiviert ist

Kurz gesagt

  • In Apache HTTP Server wurde eine kritische Sicherheitslücke entdeckt, die Codeeinschleusung ermöglicht.
  • Die Lücke erhält auf der CVE-Skala 9,8 von 10 Punkten.
  • Nur Server mit aktiviertem HTTP/2 sind betroffen. Ein Exploit ist laut heise möglich, aber schwierig.

Warum es wichtig ist

Wer Apache HTTP Server mit aktiviertem HTTP/2 betreibt, sollte die Lücke ernst nehmen. Die hohe Bewertung und die mögliche Codeeinschleusung rechtfertigen ein zeitnahes Update.

Die Checkliste hinter dem Tier

Checkliste · 3 von 10 mit Ja
JaTrifft Tech-TeamsApache HTTP Server ist ein Webserver, den Ops- und Entwicklungsteams betreiben.
NeinKerninfrastrukturEinzelnes Serverprodukt, nicht Kerninfrastruktur wie OpenSSH, Kernel oder glibc.
JaVerbreitetes WerkzeugApache HTTP Server ist ein weit verbreiteter Webserver.
NeinWird ausgenutztGolem.de und heise nennen keine beobachteten Angriffe über diese Lücke.
NeinExploit öffentlichheise: Ein Exploit ist möglich, aber schwierig; eine Veröffentlichung wird nicht genannt.
NeinAus der Ferne, ohne LoginGolem.de und heise nennen keine Angriffsbedingungen wie Netzzugriff ohne Anmeldung.
JaVolle Übernahmeheise: Die Lücke ermöglicht Codeeinschleusung, also Codeausführung.
NeinGeheimnisse offengelegtKeine Quelle berichtet von gestohlenen oder offengelegten Daten.
NeinLieferketteKeine Quelle berichtet von kompromittierten Paketen, Updates oder Build-Pipelines.
NeinNoch kein Fixheise: Updates sind angeraten; Golem.de: Ein Patch ist sinnvoll, also gibt es eine korrigierte Version.

Zeitleiste

  1. Sicherheitslücke wird öffentlich bekannt

  2. Golem.de - Security

    Red Hat: Kritische Sicherheitslücke in Apache HTTP Server entdeckt

  3. heise online IT

    Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung

  4. heise security News

    Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung

  5. Künstliche Intelligenz

    Kritische Sicherheitslücke in Apache2 ermöglicht Codeeinschleusung

  6. Pro-Linux Security

    Ausführen beliebiger Kommandos in mod_http2 (Fedora)

Alle Berichte · 5 Quellen

Zuerst gesehen · 5 Quellen · Zur ganzen Meldung · Wie Tiers entschieden werden